Politique de confidentialité

Viralyshop est un service de Scalemind, LLC, société à responsabilité limitée (LLC) enregistrée dans l’État du Delaware, aux États-Unis, sous le numéro de dossier 10469525. Son siège social se trouve au 131 Continental Dr, Suite 305, Newark, DE 19713, United States.

L’équipe gère le service depuis Alger. Viralyshop sert d’abord l’Algérie, et les montants sont en dinars algériens (DZD).

Scalemind, LLC est responsable du traitement des données des comptes, des créateurs, des marchands, des comptes Instagram, TikTok et YouTube que les créateurs vérifient et des clics sur les liens suivis. Dans cette politique, « nous » désigne Scalemind, LLC.

Les données des clients des marchands

Quand un client commande chez un marchand, le marchand est responsable des données de son client. Viralyshop traite ces données pour faire fonctionner le service pour le marchand : gérer la commande, suivre la livraison et calculer la commission du créateur. Nous les traitons aussi pour notre propre prévention de la fraude.

Pour toute question sur vos données, écrivez à notre contact protection des données : privacy@viralyshop.com.

Cette politique couvre :

• le site viralyshop.com ;
• l’application app.viralyshop.com, utilisée par les marchands, les créateurs, notre équipe et les guichets ZR Express ;
• les pages produits que les marchands publient avec Viralyshop, sur une adresse en viralyshop.com (par exemple maboutique.viralyshop.com) ou sur leur propre nom de domaine ;
• les liens suivis des créateurs, sur go.viralyshop.com ;
• l’API et les scripts que les boutiques en ligne des marchands, par exemple Shopify, appellent pour nous envoyer leurs commandes.

Elle concerne les personnes suivantes :

• les visiteurs du site ;
• les créateurs, les managers qui gèrent des influenceurs, et les influenceurs qu’un manager ajoute avant qu’ils aient leur propre compte ;
• les marchands et les membres de leur équipe ;
• notre équipe d’exploitation et les agents des guichets ZR Express ;
• les clients qui commandent chez un marchand ;
• les créateurs sans compte qu’un marchand invite par e-mail depuis la place de marché des créateurs.

Elle ne couvre pas les services d’Instagram, de TikTok, de YouTube ou de Google, ni les sites et boutiques propres aux marchands. Chacun a sa propre politique de confidentialité. Instagram, TikTok et YouTube sont des marques de leurs propriétaires ; YouTube appartient à Google. Viralyshop n’est ni affilié à Meta, TikTok ou Google, ni approuvé ou sponsorisé par eux.

Voici chaque catégorie de données, avec les champs réels. Nous ne collectons que ce dont le service a besoin.

Votre compte

• Connexion avec Google : votre nom, votre adresse e-mail, votre photo de profil et l’identifiant de votre compte Google. C’est le seul mode d’inscription ouvert au public. Le détail est dans la section Connexion avec Google.
• Comptes de notre équipe et des guichets : nom, adresse e-mail et mot de passe. Du mot de passe, nous ne gardons qu’une empreinte (hachage), jamais le mot de passe lui-même.
• Numéro WhatsApp : chaque compte créateur ou marchand vérifie un numéro de mobile avec un code à 6 chiffres envoyé par WhatsApp.
• Préférences : langue, pays et fuseau horaire.

Profil et réponses d’inscription

• Marchand : type de compte (marque, agence ou commerce local), nom de l’agence, activité, nombre de points de vente, gestion de plusieurs marques, nom affiché, adresse de la boutique (son sous-domaine), secteur, wilaya, site web, types de campagnes, canaux de vente, mode de livraison, et le choix d’afficher ou non votre numéro WhatsApp aux créateurs et aux clients.
• Coordonnées de la société du marchand : raison sociale, NIF, e-mail et téléphone de contact, site web, wilaya, commune, adresse et logo.
• Créateur : type de compte (créateur ou manager), pseudo, nom affiché, bio si vous l’ajoutez, wilaya, thèmes (3 au plus), langues de vos contenus, comptes TikTok et Instagram déclarés, réponse oui ou non à la question sur la carte d’auto-entrepreneur, et mode de retrait choisi.
• Téléphones supplémentaires du créateur : jusqu’à 5 numéros. Ils servent à repérer les commandes passées depuis vos propres téléphones, ou depuis celui de votre manager pendant qu’il vous gère, qui ne donnent pas de commission.
• Adresse de livraison d’un échantillon : quand un créateur postule à un appel d’offres qui envoie un échantillon de produit, sa wilaya, sa commune, son adresse et un téléphone.
• Manager : le nombre d’influenceurs que vous gérez et, pour chaque influenceur que vous ajoutez, son nom affiché, son pseudo, ses téléphones et ses noms d’utilisateur sur les réseaux. N’ajoutez qu’une personne qui vous a donné son accord. Elle accepte ensuite l’invitation avec son propre compte. Pour vos retraits : votre pièce d’identité, votre carte d’auto-entrepreneur (numéro chiffré et photo) et vos comptes de virement, à votre nom.

Paiement des créateurs

• Coordonnées de retrait : pour un virement, le nom du titulaire, le numéro du compte CCP ou bancaire et le nom de la banque. Le numéro est chiffré ; l’application n’en montre que les 4 derniers chiffres.
• Vérification d’identité : avant le premier retrait, votre nom complet, le type de pièce (carte nationale d’identité, passeport ou permis de conduire), son numéro et une photo de la pièce. Le numéro est chiffré. Au guichet ZR Express, l’agent saisit le numéro de votre pièce pour le comparer.
• Retraits : montants, codes de retrait, guichet, dates et mode de vérification de l’identité.

Comptes Instagram, TikTok et YouTube

Les comptes que vous vérifiez avec un code, et les données publiques que nous en lisons, sont détaillés dans la section Instagram, TikTok et YouTube.

Commandes et données des clients

• Ce que le client saisit sur une page produit, un formulaire intégré ou la boutique du marchand : nom, téléphone, deuxième téléphone éventuel, wilaya, commune, adresse, note, produits, variantes et quantités. Une commande venue de Shopify peut aussi contenir une adresse e-mail. Si le marchand installe notre script sur sa boutique et que le client vient d’un lien de créateur, le script nous envoie une copie du formulaire de commande validé, pour retrouver la commande et l’attribuer au créateur.
• Ce que le marchand ajoute : commandes saisies à la main ou importées, confirmation, notes d’appel et colis.
• L’attribution : le code créateur utilisé, le lien suivi, ses sous-identifiants et les identifiants publicitaires présents dans le lien, comme fbclid, ttclid ou gclid.
• Les données anti-fraude : temps de remplissage du formulaire, identifiant aléatoire de l’onglet, empreinte chiffrée de l’adresse IP, navigateur (user agent), nombre d’envois, score de risque et ses signaux, doublons, et commandes passées depuis le téléphone d’un créateur. Pour chaque boutique, nous tenons aussi une fiche par numéro de client : nom, wilaya, nombre de commandes livrées, retournées et annulées, et blocage éventuel.
• La livraison : statuts, numéro de suivi, montant contre remboursement et frais de livraison reçus de ZR Express.
• Les contrôles de qualité : notre équipe peut appeler ou écrire par WhatsApp à un échantillon de clients pour vérifier qu’une commande a bien été passée, reçue et payée. Nous gardons leurs réponses.

Nous ne gardons jamais un numéro de téléphone en clair. Il est stocké chiffré, avec une empreinte qui sert à repérer les doublons et une version masquée pour l’affichage.

Clics sur les liens suivis

Quand quelqu’un ouvre un lien de créateur sur go.viralyshop.com, nous enregistrons : le lien, la campagne, le créateur, la date, une empreinte chiffrée de l’adresse IP (jamais l’adresse elle-même), le navigateur (user agent), le type d’appareil, le site d’où vient le visiteur (son nom de domaine seulement), les identifiants publicitaires et les sous-identifiants du lien, et la page d’arrivée. Le cookie cv_click, qui relie le clic à une commande, est décrit dans Cookies et stockage dans le navigateur.

Messages, litiges et fichiers

• Messages entre marques et créateurs, et leurs pièces jointes. Les numéros de téléphone écrits dans un message sont masqués automatiquement.
• Litiges et signalements : vos explications, les preuves envoyées (images ou PDF) et les décisions de notre équipe. Un créateur qui signale une commande manquante donne le téléphone de son client, que nous gardons chiffré.
• Fichiers envoyés : images de produits, vidéos des campagnes payées à la vidéo, captures d’écran de vues, photos de pièces d’identité et preuves de litige. Ils sont rangés dans un stockage privé.

Paiements

Pour les marchands : les recharges (montant, moyen de paiement, statut, et référence du prestataire ou de la demande en espèces), le portefeuille, les budgets de campagne, les commissions et les frais. Pour les créateurs : les gains, leurs étapes et les retraits. Nous ne voyons et ne gardons aucun numéro de carte : vous le saisissez sur la page du prestataire de paiement.

Données techniques

• Sessions : l’adresse IP et le navigateur (user agent) de chaque session de connexion.
• Journaux du serveur : adresse IP, adresse demandée et heure de chaque requête. Le texte des recherches et les liens signés vers les fichiers en sont retirés.
• Rapports d’erreur de nos tâches en arrière-plan, et compteurs anti-abus qui gardent une empreinte chiffrée de l’adresse IP.
• Journal d’audit : les actions sensibles, par exemple qui a consulté une pièce d’identité ou tranché un litige.

Acceptation des conditions

Quand vous acceptez les conditions créateur ou marchand, nous gardons la version acceptée, sa langue, la date, une empreinte chiffrée de votre adresse IP et votre navigateur (user agent).

E-mails et notifications

Nous envoyons des e-mails de service à l’adresse de votre compte : commandes, retraits, litiges, campagnes, messages, changement de coordonnées de retrait. Les mêmes alertes apparaissent dans l’application. Nous gardons ces notifications et la trace des envois.

Créateurs invités sans compte

Dans la place de marché des créateurs, un marchand cherche des profils publics TikTok, Instagram et YouTube fournis par Influencers.club : nom, nom d’utilisateur, photo, bio, abonnés, abonnements, nombre de publications, taux d’engagement, moyennes de vues, de mentions J’aime et de commentaires, date de la dernière publication, localisation, thèmes et, parfois, une adresse e-mail professionnelle. Si le créateur n’a pas de compte, le marchand peut lui faire envoyer une invitation par e-mail. Nous gardons l’adresse chiffrée, la trace de l’invitation et, si la personne se désinscrit, une empreinte de son adresse pour ne plus jamais lui écrire.

Ce qui est obligatoire

La connexion avec Google, le numéro WhatsApp vérifié, l’acceptation des conditions et les réponses marquées obligatoires sont nécessaires pour ouvrir votre espace. La vérification d’identité est nécessaire pour retirer vos gains, et les coordonnées de retrait pour recevoir un virement. Sans elles, nous ne pouvons pas ouvrir votre espace ou vous payer. Les autres champs sont facultatifs.

Un créateur peut ajouter à son profil ses comptes Instagram et TikTok et ses chaînes YouTube, pour montrer ses chiffres aux marques et être payé pour ses vidéos et ses publications. Nous ne vous demandons jamais votre mot de passe, et vous ne connectez pas votre compte à Viralyshop : nous n’avons aucun accès à votre compte. Nous lisons seulement ce que tout le monde peut voir sur la page publique du compte et de ses publications.

Prouver qu’un compte est à vous : le code dans la bio

Nous vous donnons un code (CV suivi de 6 caractères). Vous l’ajoutez à la bio publique de votre compte Instagram ou TikTok, ou à la description de votre chaîne YouTube, puis vous cliquez sur Vérifier. Nous lisons alors le profil public et y cherchons le code. Le compte doit être public. Une fois le compte vérifié, vous pouvez retirer le code.

Chaque compte se vérifie avec son propre code. Vous pouvez vérifier plusieurs comptes, plusieurs sur la même plateforme aussi, jusqu’à 10 comptes vérifiés en tout. Un compte ne peut être vérifié que par un seul créateur.

Notre fournisseur de données publiques

Nous lisons ces pages publiques par notre fournisseur ScrapeCreators (Web Scraping Guy LLC, aux États-Unis). Pour chaque lecture, il reçoit seulement le nom d’utilisateur public du compte, son identifiant public sur la plateforme, ou le lien public d’une publication. Il ne reçoit jamais votre nom, votre adresse e-mail, votre téléphone ni aucune autre donnée de votre compte Viralyshop. Nous n’utilisons ni l’API d’Instagram, ni celle de TikTok, ni celle de YouTube.

Ce que nous lisons

• Le profil : l’identifiant public du compte (sur YouTube, celui de la chaîne), le nom d’utilisateur, le nom affiché, la bio (sur YouTube, la description de la chaîne), si le compte est privé, et le nombre d’abonnés. Sur YouTube, ce nombre est arrondi par YouTube, et nous n’en lisons aucun si la chaîne le masque. Pour prouver que le compte est à vous et montrer vos chiffres aux marques.
• Vos dernières publications : l’identifiant, la date et le nombre de vues de chacune, et si elle est épinglée. Pour calculer vos vues moyennes sur vos 10 dernières vidéos non épinglées (sur YouTube, vos vidéos et vos Shorts ensemble). Nous ne gardons pas cette liste, seulement la moyenne.
• Les publications envoyées à une campagne (une vidéo d’une campagne à la vue, le post d’un appel d’offres) : l’identifiant, le lien, l’identifiant public du compte qui l’a publiée, la date, les vues, les mentions J’aime, les commentaires et, sur TikTok, les partages. Sur YouTube, aussi le type de vidéo (Short, vidéo ou live) et si elle est déclarée comme promotion rémunérée. Pour vérifier qu’elle vient d’un de vos comptes vérifiés et qu’elle est en ligne, payer les vues et repérer les fausses vues.
• Le contenu d’une vidéo envoyée à une campagne à la vue : sa couverture, sa durée, sa légende (sur YouTube, son titre et sa description) et, quand la page publique d’Instagram ou de TikTok le donne, son fichier vidéo. YouTube ne donne jamais le fichier. Pour le contrôle du contenu décrit plus bas.

Ce que nous ne lisons pas et ne faisons pas

Nous ne lisons que des données publiques. Nous ne lisons ni vos messages, ni la liste de vos abonnés, ni vos statistiques privées, ni votre photo de profil, ni votre mot de passe. Nous ne publions rien, ne commentons rien, ne suivons personne et ne modifions rien sur votre compte.

Quand nous lisons

• Le code dans la bio : seulement quand vous cliquez sur Vérifier.
• Votre nombre d’abonnés et vos vues moyennes : juste après la vérification, puis une fois toutes les 24 heures environ, tant que le compte est vérifié sur votre profil.
• Les vues, mentions J’aime, commentaires et partages d’une vidéo envoyée à une campagne à la vue : à l’envoi, puis toutes les 4 heures tant que la campagne compte ses vues, et une dernière fois à sa fin. Une vidéo refusée n’est lue que tant que son refus peut encore être contesté. Après la fin de la campagne, seule une vidéo approuvée est encore lue, jusqu’à son paiement à la fin du délai de blocage : une vidéo qui attend encore la décision de la marque, ou refusée, ne l’est plus.
• Le contenu d’une vidéo envoyée à une campagne à la vue : une fois, juste après l’envoi, pour le contrôle du contenu.
• Le post d’un appel d’offres : quand vous envoyez son lien, à la fin du délai de blocage avant son paiement, et 30 jours après sa publication, pour vérifier qu’il est toujours en ligne.

Une publication supprimée ou devenue privée ne peut plus être lue. Nous ne la tenons pour disparue qu’après deux lectures de suite. Une vidéo approuvée passe alors hors ligne et nous ne la lisons plus ; si elle attendait encore un paiement, notre équipe en est prévenue. Une vidéo qui attend encore la décision de la marque garde son statut, notre équipe en est prévenue, et nous la relisons tant que la campagne compte ses vues. Une vidéo refusée dont le refus peut encore être contesté est relue au passage suivant, tant que la campagne compte ses vues.

Ce que nous gardons

Pour chaque compte vérifié : son identifiant public, le nom d’utilisateur, le nom affiché, le lien du profil, les abonnés, les vues moyennes et leur historique, la méthode de vérification et sa date. Nous ne gardons ni le texte de votre bio ou de votre description, ni la liste de vos dernières publications. Pour chaque publication envoyée à une campagne : son lien, son identifiant, l’identifiant public de son auteur, sa date et chaque lecture de ses chiffres. Les durées sont dans Combien de temps nous gardons vos données.

Le contrôle automatique du contenu (Google Gemini)

Quand vous envoyez à une campagne payée à la vue une vidéo d’un compte vérifié, nous la contrôlons automatiquement, à partir de sa page publique :

• Avec le fichier : quand la page publique d’Instagram ou de TikTok donne le fichier de la vidéo, nous le téléchargeons depuis les serveurs de la plateforme dans un dossier temporaire, supprimé juste après. Nous l’envoyons à Google Gemini, qui le compare au brief et aux règles de la campagne. Le fichier est supprimé de Gemini après le contrôle, et au plus tard 48 heures après son envoi.
• Sans fichier, et toujours sur YouTube : nous envoyons à Gemini l’image de couverture, la légende (sur YouTube, le titre et la description) et la durée.
• Copies : nous calculons des empreintes de la vidéo (ses images et son son, ou sa couverture et sa durée quand nous n’avons pas le fichier) pour repérer une vidéo déjà envoyée. Nous la comparons aux autres vidéos de la campagne et aux vidéos contrôlées pendant les 180 derniers jours. Une même publication envoyée à deux campagnes est aussi repérée par son identifiant.

Gemini reçoit ce contenu avec le titre, le brief et les règles de la campagne et le nom du produit, jamais votre nom ni votre nom d’utilisateur. Nous gardons la légende (numéros de téléphone masqués), la durée, les empreintes, et l’avis de Gemini avec son résumé. Cet avis est une aide : la marque décide d’accepter ou non la vidéo, et notre équipe tranche les copies.

Les comptes ajoutés à la main et les captures d’écran

Un compte ajouté à la main, sans code, n’est pas vérifié : nous ne lisons ni son profil ni ses publications. Ses chiffres sont ceux qui ont été déclarés, et les marques les voient comme des chiffres déclarés. Quand une campagne l’autorise, vous prouvez les vues d’une vidéo de ce compte par des captures d’écran que notre équipe lit et saisit.

Qui voit ces données

Les marques voient votre nom d’utilisateur, vos abonnés, vos vues moyennes et si le compte est vérifié : sur votre profil dans la place de marché des créateurs et sur vos candidatures. Elles voient aussi les vues des vidéos envoyées à leurs campagnes. Notre équipe les voit pour vérifier les vues et traiter les litiges.

Ce que nous ne faisons jamais

Nous ne vendons pas, ne louons pas et ne concédons pas sous licence les données de vos comptes Instagram, TikTok ou YouTube. Nous ne les utilisons pas pour de la publicité ni pour cibler des annonces. Nous ne les partageons qu’avec les marques, comme décrit ci-dessus, et avec les prestataires qui font fonctionner le service, dont ScrapeCreators pour la lecture des pages publiques et Google Gemini pour le contrôle du contenu. Nous ne les utilisons pas pour entraîner des modèles d’intelligence artificielle, et nous ne les utilisons que pour les fonctions décrites dans cette section.

Retirer un compte

Dans l’application, ouvrez Profil, section Réseaux sociaux, puis choisissez Retirer à côté du compte et confirmez. Nous arrêtons aussitôt de lire son profil, ses abonnés et ses vues moyennes, et les marques ne voient plus le compte. Vous ne pouvez plus envoyer à une campagne une nouvelle vidéo de ce compte sans le vérifier de nouveau, sauf par captures d’écran quand la campagne les accepte. Les publications déjà envoyées à une campagne restent lues par leur lien public tant que la campagne compte leurs vues (une vidéo refusée, seulement si son refus peut encore être contesté), puis, après la fin de la campagne, seulement celles qui sont approuvées, jusqu’à leur paiement : nous avons vérifié à l’envoi qu’elles étaient à vous, et leurs vues restent comptées. Le post d’un appel d’offres est relu une dernière fois 30 jours après sa publication. Les chiffres déjà lus restent liés à vos candidatures et à vos paiements. Pour les effacer aussi, suivez la page de suppression des données.

Les anciennes connexions Instagram et TikTok

Jusqu’au 4 octobre 2026, un compte pouvait aussi être connecté avec la connexion Instagram (pour les comptes professionnels) ou avec TikTok Login Kit. Nous n’utilisons plus ces connexions, et nous avons effacé tous les jetons d’accès qu’elles nous avaient remis. Un compte connecté ainsi n’est plus lu : il s’affiche À vérifier sur votre profil jusqu’à ce que vous le vérifiiez avec un code. Si Viralyshop apparaît encore dans les réglages de votre compte Instagram ou TikTok, vous pouvez l’y retirer : voir les étapes pour Instagram ou TikTok.

Vous vous inscrivez et vous vous connectez à Viralyshop avec votre compte Google. Nous demandons seulement les autorisations openid, email et profile. Google nous transmet :

• votre nom ;
• votre adresse e-mail ;
• votre photo de profil ;
• l’identifiant de votre compte Google, qui sert à vous reconnaître à chaque connexion.

Nous les utilisons pour créer votre compte, vous connecter, afficher votre nom et votre photo dans l’application, et vous envoyer les e-mails de service liés à votre compte. Google nous remet aussi des jetons de connexion : nous les gardons avec votre compte et ne les utilisons pas pour accéder à d’autres données de votre compte Google. Nous ne lisons ni vos e-mails, ni vos contacts, ni vos fichiers.

Nous ne vendons pas ces données. Nous ne les partageons qu’avec les prestataires qui hébergent le service, et nous ne les utilisons ni pour la publicité ni pour entraîner des modèles d’intelligence artificielle. Comme le reste de votre compte, elles sont stockées dans notre base de données, en Allemagne (Neon) ; la section Sécurité décrit comment nous les protégeons. Nous les gardons tant que votre compte est ouvert, et nous les supprimons, jetons de connexion compris, dans les 30 jours d’une demande de suppression.

L’utilisation et le transfert par Viralyshop des informations reçues des API Google respectent les Règles relatives aux données utilisateur des services d’API Google, y compris les exigences d’Utilisation limitée (Limited Use).

Vous pouvez retirer l’accès de Viralyshop à tout moment sur la page des connexions de votre compte Google. Cela ne supprime pas votre compte Viralyshop : pour le supprimer, suivez la page de suppression des données.

Nous utilisons aussi Google comme prestataire pour d’autres besoins, sans lien avec votre compte Google : Gemini pour le contrôle du contenu, Google Sheets quand un marchand le choisit, et Google Fonts pour les polices.

La connexion avec Google ne nous donne aucun accès à votre chaîne YouTube. Si vous vérifiez une chaîne avec un code, nous lisons seulement sa page publique, par notre fournisseur ScrapeCreators, sans les API de Google : voir Instagram, TikTok et YouTube.

Chaque usage repose sur une base légale : l’exécution du contrat (les conditions que vous acceptez), votre consentement, une obligation légale, ou notre intérêt légitime, que nous mettons en balance avec vos droits.

• Créer et gérer votre compte, vérifier votre numéro et vous connecter : contrat.
• Mettre en relation marques et créateurs et gérer les campagnes, les candidatures, les messages et les commandes : contrat.
• Attribuer une vente au bon créateur grâce aux liens suivis, aux codes créateur et aux téléphones : contrat, et intérêt légitime des marchands et des créateurs.
• Lire les données publiques de vos comptes Instagram, TikTok et YouTube et payer les vues : contrat. La lecture d’un compte commence quand vous le vérifiez avec un code pour l’utiliser dans vos campagnes, et s’arrête quand vous le retirez de votre profil. Les publications déjà envoyées à une campagne restent lues pour être payées : tant que la campagne compte leurs vues (une vidéo refusée, seulement si son refus est encore contestable), puis, après la fin de la campagne, seulement celles qui sont approuvées, jusqu’à leur paiement, et, pour un appel d’offres, 30 jours après leur publication.
• Contrôler le contenu des vidéos envoyées (brief et copies) : contrat, et intérêt légitime à ne payer que des vidéos originales et conformes.
• Encaisser les recharges, tenir les comptes, payer les créateurs et vérifier leur identité avant un retrait : contrat et obligations légales, notamment comptables et fiscales.
• Prévenir la fraude et protéger le service (score de risque, doublons, commandes passées par un créateur, fausses vues, appels de contrôle aux clients, limites anti-abus, journaux) : intérêt légitime.
• Traiter les litiges et défendre nos droits : intérêt légitime et obligations légales.
• Vous envoyer les e-mails et notifications de service : contrat. Nous n’envoyons pas d’e-mails publicitaires sans votre accord préalable.
• Permettre à un marchand d’inviter un créateur sans compte dont l’adresse professionnelle est publique : intérêt légitime du marchand à proposer un travail rémunéré, et celui du créateur à recevoir cette offre. Chaque e-mail nomme la boutique, dit pourquoi la personne le reçoit et contient un lien de désinscription gratuit.
• Héberger vos données hors d’Algérie : nécessaire au service que vous demandez, et votre consentement (voir Transferts hors d’Algérie).

Certaines règles s’appliquent automatiquement : par exemple, une commande en double ou passée depuis le téléphone d’un créateur ne donne pas de commission. Les signaux de fraude et l’avis de Gemini aident une personne, qui décide. Si vous pensez qu’une règle automatique s’est trompée, écrivez-nous ou ouvrez un litige : une personne de notre équipe réexamine le cas.

Nous ne vendons aucune donnée personnelle. Nous partageons des données seulement dans les cas suivants.

Les autres utilisateurs

• Les marques voient le profil des créateurs (nom affiché, pseudo, wilaya, si l’identité est vérifiée, nombre de commandes livrées, nom du manager s’il y en a un, comptes vérifiés ou déclarés et leurs chiffres), leurs candidatures, leurs messages et les résultats de leurs vidéos. Elles ne voient ni la pièce d’identité ni les téléphones des créateurs, sauf le téléphone de l’adresse de livraison d’un échantillon demandé, le temps de l’expédier.
• Les marchands voient les commandes de leurs clients en entier, sauf une commande arrivée quand le budget de la campagne était épuisé : les coordonnées du client restent masquées jusqu’à la recharge. Seuls les membres qui appellent les clients (propriétaire, administrateur, agent) voient le téléphone complet ; un membre en lecture seule le voit masqué.
• Les créateurs voient, pour les commandes venues de leurs liens, le prénom du client et l’initiale de son nom, son téléphone masqué, sa wilaya et sa commune, le produit, la quantité, le montant et le statut. Jamais l’adresse ni la note.
• Les créateurs et les clients voient le numéro WhatsApp vérifié d’un marchand, sauf si le marchand choisit de le masquer.
• Les managers agissent pour les influenceurs qu’ils gèrent dans les campagnes, les candidatures, les messages et les litiges. Ils ne voient jamais leur pièce d’identité, leurs retraits, leurs coordonnées de retrait, ni les gains des campagnes que ces influenceurs rejoignent eux-mêmes ; les gains d’une campagne qu’un manager gère lui reviennent.
• L’agent du guichet ZR Express voit, au moment d’un retrait, le nom du créateur, le montant et la photo de sa pièce d’identité.
• Notre équipe accède aux données nécessaires au support, aux vérifications d’identité, à la lutte contre la fraude, à la modération des messages et aux litiges. Chaque consultation d’une pièce d’identité est enregistrée.

Nos prestataires

Ils traitent les données pour notre compte, selon nos instructions :

• Railway : hébergement de l’API, aux Pays-Bas.
• Neon : base de données, en Allemagne.
• Vercel : hébergement du site, de l’application et des pages produits.
• Un service de stockage de fichiers privé, compatible S3 : photos, vidéos, pièces d’identité et preuves envoyées.
• Resend : envoi des e-mails.
• Trigger.dev : tâches planifiées, comme la lecture des vues toutes les 4 heures.
• Sentry : rapports d’erreur de nos tâches en arrière-plan.
• Google (Gemini) : contrôle automatique du contenu des vidéos.
• Meta (WhatsApp Business) : envoi du code de vérification de votre numéro.
• ScrapeCreators (Web Scraping Guy LLC) : lecture des pages publiques Instagram, TikTok et YouTube, pour trouver le code dans la bio et lire les chiffres des comptes et des publications. Il reçoit seulement le nom d’utilisateur public d’un compte, son identifiant public sur la plateforme ou le lien public d’une publication, jamais vos coordonnées.

Les partenaires qu’un marchand choisit de connecter

• ZR Express, le transporteur : pour chaque colis, il reçoit le nom du client, ses téléphones, son adresse, sa commune, sa wilaya, le produit, le montant et la note. Il nous renvoie les statuts de livraison. Ses guichets paient aussi les créateurs en espèces.
• Shopify : la boutique du marchand nous envoie ses commandes.
• Telegram et Google Sheets : si le marchand les active, ils reçoivent une alerte à chaque nouvelle commande, avec le nom du client et son téléphone masqué, jamais l’adresse ni la note.

Les prestataires de paiement

Les marchands rechargent leur budget par carte Visa ou Mastercard avec Stripe, ou par carte CIB ou Edahabia avec Slick Pay, qui passe par SATIM. Vous saisissez votre carte sur leur page. Nous recevons seulement le statut et la référence du paiement. Une recharge en espèces ne passe par aucun prestataire : un membre de notre équipe contacte la boutique, avec les coordonnées de son compte, pour récupérer l’argent.

Influencers.club

Pour la place de marché des créateurs, nous envoyons à Influencers.club les critères de recherche du marchand ou le nom d’utilisateur cherché. Influencers.club nous renvoie des profils publics de créateurs. Nous ne lui envoyons ni vos données de compte ni vos commandes.

Les autorités et les cas prévus par la loi

Nous communiquons des données à une autorité quand la loi nous y oblige, sur demande d’un juge ou d’une autorité compétente, ou pour défendre nos droits et ceux de nos utilisateurs face à une fraude.

Si Scalemind, LLC est un jour vendue ou fusionnée, vos données passeront au nouvel exploitant, qui devra respecter cette politique. Nous vous préviendrons avant.

Vos données sont hébergées hors d’Algérie. Notre base de données est en Allemagne (Neon) et notre API aux Pays-Bas (Railway). Plusieurs prestataires sont des sociétés établies aux États-Unis ou y traitent des données, notamment Railway, Neon, Resend, Vercel, Trigger.dev, Sentry, Google, Meta, Stripe, ScrapeCreators et Influencers.club. Les partenaires qu’un marchand choisit de connecter, comme Shopify ou Telegram, traitent aussi des données hors d’Algérie.

Ces transferts sont nécessaires pour vous fournir le service que vous demandez. Ils reposent aussi sur votre consentement, que vous donnez en créant votre compte, en acceptant cette politique sur l’écran de connexion. Pour les clients des marchands, le transfert est nécessaire pour traiter la commande qu’ils passent. Chaque prestataire traite les données selon son contrat avec nous et ses engagements de sécurité.

Nous gardons les données le temps nécessaire à leur usage, puis nous les supprimons ou les rendons anonymes.

• Compte, profil, téléphones, réponses d’inscription, coordonnées de la société, coordonnées de retrait, préférences, notifications et résultats des contrôles de contenu : tant que le compte est ouvert. Après une demande de suppression, nous les supprimons ou les rendons anonymes dans les 30 jours, sauf ce qui suit.
• Jetons d’accès Instagram et TikTok : nous n’en recevons plus. Ceux que les anciennes connexions nous avaient remis avant le 4 octobre 2026 ont été effacés.
• Données de vos comptes Instagram, TikTok et YouTube (identifiant public, nom d’utilisateur, abonnés, vues moyennes et leur historique) : tant que votre compte Viralyshop est ouvert, même après le retrait du compte de votre profil. Elles servent de base à vos candidatures et à vos paiements. Pour les faire supprimer plus tôt, écrivez à privacy@viralyshop.com. Les lectures de vues qui justifient un paiement sont gardées avec les registres comptables.
• Fichier vidéo et image de couverture lus pour un contrôle de contenu : supprimés de notre dossier temporaire juste après le contrôle. Le fichier envoyé à Gemini y est supprimé aussi, au plus tard 48 heures après son envoi.
• Pièce d’identité (photo et numéro) : tant que le compte créateur est ouvert. Supprimée dans les 30 jours d’une demande de suppression, sauf si un contrôle de fraude ou un litige sur un retrait est en cours : elle est alors gardée jusqu’à sa clôture. La trace des retraits payés reste avec les registres comptables.
• Commandes, écritures comptables, recharges, commissions, retraits, factures et données fiscales, avec les données des clients et les lectures de vues qui les justifient : 10 ans, la durée de conservation des documents comptables (article 12 du Code de commerce algérien).
• Messages, litiges, preuves et dossiers de fraude (signalements, signaux, décisions) : 5 ans après la fin de la campagne concernée ou la fermeture du compte, pour pouvoir prouver ce qui s’est passé en cas de réclamation ou de litige. Journal d’audit, dont vos acceptations des conditions : 5 ans après la fermeture du compte.
• Clics sur les liens suivis : 12 mois, puis supprimés ou rendus anonymes. Quand un clic a mené à une commande, l’attribution reste avec la commande.
• Sessions : une session dure 7 jours et se renouvelle quand vous utilisez l’application. Son adresse IP et son navigateur sont gardés 90 jours au plus après la fin de la session.
• Journaux du serveur : 30 jours au plus. Rapports d’erreur : 90 jours au plus.
• Profils publics reçus d’Influencers.club : 7 jours au plus. Invitations envoyées : 12 mois. Désinscriptions : une empreinte de l’adresse, gardée sans limite de durée, pour ne plus jamais écrire à cette personne.

La loi peut nous obliger à garder certaines données plus longtemps, par exemple sur demande d’une autorité. Nous les gardons alors le temps de cette obligation.

Nous protégeons vos données par des mesures techniques et d’organisation :

• Les téléphones, les numéros de pièce d’identité, les numéros de compte de retrait et les clés ZR Express des marchands sont chiffrés (AES-256-GCM). La clé est gardée hors de la base de données.
• Les téléphones sont comparés grâce à une empreinte chiffrée et affichés masqués. Un numéro écrit dans un nom, une adresse, une note ou un message est masqué automatiquement.
• Les pièces d’identité, les vidéos, les captures d’écran et les preuves de litige sont dans un stockage privé. Elles s’ouvrent seulement par des liens qui expirent : après 5 minutes pour une pièce d’identité, une capture d’écran de vues ou une preuve de litige, et après une heure au plus pour les autres fichiers. Les images de produits qu’un marchand publie sur ses pages produits sont publiques.
• Chaque personne n’accède qu’à ce dont son rôle a besoin. Chaque consultation d’une pièce d’identité par notre équipe est enregistrée.
• L’historique des commandes, les mouvements d’argent, les lectures de vues, les messages et le journal d’audit ne peuvent pas être modifiés après coup : chaque changement s’ajoute comme une nouvelle ligne.
• Les échanges avec le site et l’application passent par une connexion chiffrée (HTTPS).

Aucun système n’est sûr à 100 %. Si une violation de données présente un risque pour vous, nous vous prévenons, ainsi que l’autorité compétente, dans les délais fixés par la loi.

La loi algérienne n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel vous donne les droits suivants :

• Information : savoir quelles données nous traitons et pourquoi. C’est l’objet de cette page.
• Accès : obtenir une copie de vos données.
• Rectification : faire corriger, compléter ou effacer une donnée inexacte. Nous corrigeons dans les 10 jours, comme la loi le prévoit. Nous prévenons aussi ceux à qui nous avons transmis la donnée, par exemple le marchand ou ZR Express.
• Opposition : vous opposer, pour un motif légitime, à un traitement de vos données.
• Refus de la prospection : ne recevoir aucun message commercial sans votre accord préalable.
• Retrait du consentement : à tout moment, pour un traitement qui repose sur votre consentement. Ce qui a été fait avant reste valable. Pour arrêter la lecture d’un compte Instagram, TikTok ou YouTube, retirez-le de votre profil.

Si vous vivez dans l’Union européenne, le RGPD vous donne aussi le droit à l’effacement, à la limitation du traitement et à la portabilité de vos données, et le droit de saisir l’autorité de protection des données de votre pays.

Pour exercer un droit, écrivez à privacy@viralyshop.com depuis l’adresse e-mail de votre compte. Si vous n’avez pas de compte, par exemple si vous êtes client d’un marchand, indiquez le nom de la boutique, la date de la commande et le numéro de téléphone utilisé ou le numéro de suivi du colis, pour que nous retrouvions vos données. Nous pouvons demander une preuve d’identité en cas de doute.

Nous accusons réception dans les 3 jours ouvrés et répondons dans les 30 jours. Une demande de rectification est traitée plus vite : dans les 10 jours, comme le prévoit la loi. Si votre demande concerne une commande, nous la transmettons aussi au marchand, responsable des données de ses clients, et l’aidons à répondre.

Si notre réponse ne vous satisfait pas, vous pouvez saisir l’Autorité nationale de protection des données à caractère personnel (ANPDP).

L’application n’a pas de bouton de suppression du compte. Pour supprimer votre compte et vos données, écrivez à privacy@viralyshop.com depuis l’adresse e-mail de votre compte.

Nous confirmons la réception dans les 3 jours ouvrés et terminons la suppression dans les 30 jours. Nous gardons ce que la loi ou l’argent exige (commandes, écritures comptables, retraits, factures, données fiscales, messages, dossiers de fraude et de litige, journal d’audit) pendant la durée de cette obligation (voir Combien de temps nous gardons vos données), et nous supprimons ou rendons anonyme tout le reste.

Pour arrêter seulement la lecture d’un compte Instagram, TikTok ou YouTube, retirez-le dans Profil, section Réseaux sociaux, avec le bouton Retirer. Toutes les étapes sont sur la page de suppression des données.

Le site viralyshop.com ne dépose aucun cookie. Il n’a ni outil de mesure d’audience ni pixel publicitaire. Il charge ses polices depuis Google Fonts : votre navigateur contacte alors les serveurs de Google, qui reçoivent votre adresse IP et des informations sur votre navigateur.

L’application, les pages produits et les liens suivis utilisent :

• better-auth.session_token (avec le préfixe __Secure- en production) : le cookie de session qui vous garde connecté. Il dure 7 jours et se renouvelle quand vous utilisez l’application.
• cv_click : posé quand vous ouvrez un lien de créateur sur go.viralyshop.com. Il contient un identifiant de clic aléatoire et dure 7 jours. Il sert à attribuer la commande au bon créateur pour qu’il soit payé.
• sidebar_state : retient pendant 7 jours si le menu latéral de l’application est ouvert.
• Le stockage du navigateur (localStorage et sessionStorage) : votre langue, votre thème, votre dernier espace, la disposition de votre boîte de réception, l’étape en cours de la création d’une campagne, un code de retrait en attente (effacé à la déconnexion), un brouillon d’inscription et, sur les pages produits, un identifiant aléatoire d’onglet (cv_order_session) qui aide à repérer les envois répétés.
• _cv_ref : si un marchand installe notre script sur sa propre boutique, ce cookie retient pendant 7 jours le code et le lien du créateur qui vous y a amené, avec l’identifiant du clic et les sous-identifiants. Le script garde aussi, dans le stockage du navigateur, un identifiant de session, une marque de panier et l’heure de son dernier signal à notre serveur.

Nous n’utilisons aucun cookie publicitaire ni de mesure d’audience. L’application et les pages produits chargent aussi leurs polices depuis Google Fonts. Vous pouvez supprimer les cookies dans les réglages de votre navigateur. Sans le cookie de session, vous ne pouvez pas rester connecté. Sans cv_click, une vente risque de ne pas être attribuée au créateur.

Les liens suivis ajoutent à l’adresse de la page ou de la boutique du marchand le code du créateur, l’identifiant du clic, les sous-identifiants et les identifiants publicitaires présents dans le lien, comme fbclid, ttclid ou gclid. Les outils que le marchand utilise sur son propre site peuvent les lire : ils relèvent de sa propre politique de confidentialité.

Viralyshop est réservé aux personnes de 18 ans et plus. Nous ne créons pas sciemment de compte pour un mineur. Si nous apprenons qu’un compte appartient à un mineur, nous le traitons comme une demande de suppression : nous supprimons le compte et ses données dans les 30 jours, sauf ce que la loi nous oblige à garder. Si vous pensez qu’un mineur utilise Viralyshop, écrivez à privacy@viralyshop.com.

Nous mettons cette politique à jour quand le service ou la loi change. La date de la dernière mise à jour est indiquée en haut de la page. Si un changement important touche vos données, nous vous prévenons par e-mail ou dans l’application avant qu’il s’applique.

• Vos données personnelles, vos droits ou une suppression : privacy@viralyshop.com.
• Toute autre question : support@viralyshop.com. Nous visons une réponse sous 3 jours ouvrés.
• Par courrier : Scalemind, LLC, 131 Continental Dr, Suite 305, Newark, DE 19713, United States.